理解Cookie和Session機制 —— Cookie

會話（Session）跟蹤是Web程序中常用的技術，用來跟蹤用戶的整個會話。常用的會話跟蹤技術是Cookie與Session。Cookie通過在客戶端記錄信息確定用戶身份，Session通過在服務器端記錄信息確定用戶身份

一、Cookie機制

Cookie技術是客戶端的解決方案，Cookie就是由服務器發給客戶端的特殊信息，而這些信息以文本文件的方式存放在客戶端，然後客戶端每次向服務器發送請求的時候都會帶上這些特殊的信息。讓我們說得更具體一些：當用戶使用瀏覽器訪問一個支持Cookie的網站的時候，用戶會提供包括用戶名在內的個人信息並且提交至服務器；接着，服務器在向客戶端回傳相應的超文本的同時也會發回這些個人信息，當然這些信息並不是存放在HTTP響應體（Response Body）中的，而是存放於HTTP響應頭（Response Header）；自此，客戶端再向服務器發送請求的時候，都會把相應的Cookie再次發回至服務器。而這次，Cookie信息則存放在HTTP請求頭（Request Header）了。有了Cookie這樣的技術實現，服務器在接收到來自客戶端瀏覽器的請求之後，就能夠通過分析存放於請求頭的Cookie得到客戶端特有的信息，從而動態生成與該客戶端相對應的內容。通常，我們可以從很多網站的登錄界面中看到“請記住我”這樣的選項，如果你勾選了它之後再登錄，那麼在下一次訪問該網站的時候就不需要進行重複而繁瑣的登錄動作了，而這個功能就是通過Cookie實現的。

在程序中，會話跟蹤是很重要的事情。理論上，一個用戶的所有請求操作都應該屬於同一個會話，而另一個用戶的所有請求操作則應該屬於另一個會話，二者不能混淆。例如，用戶A在超市購買的任何商品都應該放在A的購物車內，不論是用戶A什麼時間購買的，這都是屬於同一個會話的，不能放入用戶B或用戶C的購物車內，這不屬於同一個會話。

而Web應用程序是使用HTTP協議傳輸數據的。HTTP協議是無狀態的協議。一旦數據交換完畢，客戶端與服務器端的連接就會關閉，再次交換數據需要建立新的連接。這就意味着服務器無法從連接上跟蹤會話。即用戶A購買了一件商品放入購物車內，當再次購買商品時服務器已經無法判斷該購買行爲是屬於用戶A的會話還是用戶B的會話了。要跟蹤該會話，必須引入一種機制。

Cookie就是這樣的一種機制。它可以彌補HTTP協議無狀態的不足。在Session出現之前，基本上所有的網站都採用Cookie來跟蹤會話。

如果你把Cookies看成爲http協議的一個擴展的話，理解起來就容易的多了，其實本質上cookies就是http的一個擴展。有兩個http頭部是專門負責設置以及發送cookie的,它們分別是Set-Cookie以及Cookie。當服務器返回給客戶端一個http響應信息時，其中如果包含Set-Cookie這個頭部時，意思就是指示客戶端建立一個cookie，並且在後續的http請求中自動發送這個cookie到服務器端，直到這個cookie過期。如果cookie的生存時間是整個會話期間的話，那麼瀏覽器會將cookie保存在內存中，瀏覽器關閉時就會自動清除這個cookie。另外一種情況就是保存在客戶端的硬盤中，瀏覽器關閉的話，該cookie也不會被清除，下次打開瀏覽器訪問對應網站時，這個cookie就會自動再次發送到服務器端。一個cookie的設置以及發送過程分爲以下四步：

1. 客戶端發送一個http請求到服務器端
2. 服務器端發送一個http響應到客戶端，其中包含Set-Cookie頭部
3. 客戶端發送一個http請求到服務器端，其中包含Cookie頭部
4. 服務器端發送一個http響應到客戶

這個通訊過程也可以用以下下示意圖來描述：

另外，這裏還要說一個特殊的Cookie，Cookie的name是JSESSIONID。這是客戶端像服務端發送請求時，如果服務端在響應過程中創建了新的session，就會默認在響應客戶端時，自動在響應頭的set-Cookie上添加，cookie的value值就是新建的session的ID，如下圖所示：

該Cookie沒有設置超時時間，即它的maxAge值默認爲-1，爲臨時Cookie，一般存在瀏覽器的內存中，關閉瀏覽器後該Cookie就會消失。

拓展：
後臺何時會新建session呢，一般說來要同時滿足以下條件：

1. 後臺調用了類似request.getSession()獲取session的代碼
2. 如果請求的的請求頭上附帶有名爲JSESSIONID的Cookie信息，則該cookie所附帶的ID對應的session已經在服務端中被回收了，則服務端會在調用getSession的時候再創建新的session

二、什麼是Cookie

Cookie意爲“甜餅”，是由W3C組織提出，最早由Netscape社區發展的一種機制。目前Cookie已經成爲標準，所有的主流瀏覽器如IE、Netscape、Firefox、Opera等都支持Cookie。

由於HTTP是一種無狀態的協議，服務器單從網絡連接上無從知道客戶身份。怎麼辦呢？就給客戶端們頒發一個通行證吧，每人一個，無論誰訪問都必須攜帶自己通行證。這樣服務器就能從通行證上確認客戶身份了。這就是Cookie的工作原理。

Cookie實際上是一小段的文本信息。客戶端請求服務器，如果服務器需要記錄該用戶狀態，就使用response向客戶端瀏覽器頒發一個Cookie。客戶端瀏覽器會把Cookie保存起來。當瀏覽器再請求該網站時，瀏覽器把請求的網址連同該Cookie一同提交給服務器。服務器檢查該Cookie，以此來辨認用戶狀態。服務器還可以根據需要修改Cookie的內容。

三、Cookie的不可跨域名性

很多網站都會使用Cookie。例如，Google會向客戶端頒發Cookie，Baidu也會向客戶端頒發Cookie。那瀏覽器訪問Google會不會也攜帶上Baidu頒發的Cookie呢？或者Google能不能修改Baidu頒發的Cookie呢？

答案是否定的。Cookie具有不可跨域名性。根據Cookie規範，瀏覽器訪問Google只會攜帶Google的Cookie，而不會攜帶Baidu的Cookie。Google也只能操作Google的Cookie，而不能操作Baidu的Cookie。

Cookie在客戶端是由瀏覽器來管理的。瀏覽器能夠保證Google只會操作Google的Cookie而不會操作Baidu的Cookie，從而保證用戶的隱私安全。瀏覽器判斷一個網站是否能操作另一個網站Cookie的依據是域名。Google與Baidu的域名不一樣，因此Google不能操作Baidu的Cookie。

需要注意的是，雖然網站images.google.com與網站www.google.com同屬於Google，但是域名不一樣，二者同樣不能互相操作彼此的Cookie。

注意：用戶登錄網站www.google.com之後會發現訪問images.google.com時登錄信息仍然有效，而普通的Cookie是做不到的。這是因爲Google做了特殊處理。本章後面也會對Cookie做類似的處理。

四、設置Cookie的所有屬性

除了name與value之外，Cookie還具有其他幾個常用的屬性。每個屬性對應一個getter方法與一個setter方法。Cookie類的所有屬性如下所示。

• String name：該Cookie的名稱。Cookie一旦創建，名稱便不可更改。
• Object value：該Cookie的值。如果值爲Unicode字符，需要爲字符編碼。如果值爲二進制數據，則需要使用BASE64編碼。
• int maxAge：該Cookie失效的時間，單位秒。如果爲正數，則該Cookie在>maxAge秒之後失效。如果爲負數，該Cookie爲臨時Cookie（即Cookie存在內存中），關閉瀏覽器即失效，瀏覽器也不會以任何形式保存該Cookie。如果爲0，表示刪除該Cookie。默認爲–1。
• boolean secure：該Cookie是否僅被使用安全協議傳輸。安全協議。安全協議有HTTPS，SSL等，在網絡>上傳輸數據之前先將數據加密。默認爲false。
• String path：該Cookie的使用路徑。如果設置爲“/sessionWeb/”，則只有contextPath爲“/sessionWeb”的程序可以訪問該Cookie。如果設置爲“/”，則本域名下contextPath都可以訪問該Cookie。注意最後一個字符必須爲“/”。
• String domain：可以訪問該Cookie的域名。如果設置爲“.google.com”，則所有以“google.com”結尾的域名都可以訪問該Cookie。注意第一個字符必須爲“.”。
• String comment：該Cookie的用處說明。瀏覽器顯示Cookie信息的時候顯示該說明。
• int version：該Cookie使>用的版本號。0表示遵循Netscape的Cookie規範，1表示遵循W3C的RFC 2109規範。
• String HttpOnly：如果Cookie中帶了這個屬性（這個屬性不用設置值），那麼通過js腳本將無法讀取到Cookie信息，樣能有效的防止XSS攻擊，竊取cookie內容，這樣就增加了cookie的安全性。

1、Cookie的有效期

Cookie的maxAge決定着Cookie的有效期，單位爲秒（Second）。Cookie中通過getMaxAge()方法與setMaxAge(int maxAge)方法來讀寫maxAge屬性。 如果maxAge屬性爲正數，則表示該Cookie會在maxAge秒之後自動失效。瀏覽器會將maxAge爲正數的Cookie持久化，即寫到對應的Cookie文件中。無論客戶關閉了瀏覽器還是電腦，只要還在maxAge秒之前，登錄網站時該Cookie仍然有效。下面代碼中的Cookie信息將永遠有效。

Cookie cookie = new Cookie("username","helloweenvsfei"); // 新建Cookie
cookie.setMaxAge(Integer.MAX_VALUE); // 設置生命週期爲MAX_VALUE
response.addCookie(cookie); // 輸出到客戶端

如果maxAge爲負數，則表示該Cookie僅在本瀏覽器窗口以及本窗口打開的子窗口內有效，關閉窗口後該Cookie即失效。maxAge爲負數的Cookie，爲臨時性Cookie，不會被持久化，不會被寫到Cookie文件中。Cookie信息保存在瀏覽器內存中，因此關閉瀏覽器該Cookie就消失了。Cookie默認的maxAge值爲–1。
如果maxAge爲0，則表示刪除該Cookie。Cookie機制沒有提供刪除Cookie的方法，因此通過設置該Cookie即時失效實現刪除Cookie的效果。失效的Cookie會被瀏覽器從Cookie文件或者內存中刪除：

Cookie cookie = new Cookie("username","helloweenvsfei"); // 新建Cookie
cookie.setMaxAge(0); // 設置生命週期爲0，不能爲負數
response.addCookie(cookie); // 必須執行這一句

response對象提供的Cookie操作方法只有一個添加操作add(Cookie cookie)。要想修改Cookie只能使用一個同名的Cookie來覆蓋原來的Cookie，達到修改的目的。刪除時只需要把maxAge修改爲0即可。

注意：從客戶端讀取Cookie時，包括maxAge在內的其他屬性都是不可讀的，也不會被提交。瀏覽器提交Cookie時只會提交name與value屬性。maxAge屬性只被瀏覽器用來判斷Cookie是否過期。

2、Cookie的域名

Cookie是不可跨域名的。域名www.google.com頒發的Cookie不會被提交到域名www.baidu.com去。這是由Cookie的隱私安全機制決定的。隱私安全機制能夠禁止網站非法獲取其他網站的Cookie。

正常情況下，同一個一級域名下的兩個二級域名如www.helloweenvsfei.com和images.helloweenvsfei.com也不能交互使用Cookie，因爲二者的域名並不嚴格相同。如果想所有helloweenvsfei.com名下的二級域名都可以使用該Cookie，需要設置Cookie的domain參數，例如：

Cookie cookie = new Cookie("time","20080808"); // 新建Cookie
cookie.setDomain(".helloweenvsfei.com"); // 設置域名
cookie.setPath("/"); // 設置路徑
cookie.setMaxAge(Integer.MAX_VALUE); // 設置有效期
response.addCookie(cookie); // 輸出到客戶端

讀者可以修改本機C:\WINDOWS\system32\drivers\etc下的hosts文件來配置多個臨時域名，然後使用setCookie.jsp程序來設置跨域名Cookie驗證domain屬性。

注意：domain參數必須以點(".")開始。另外，name相同但domain不同的兩個Cookie是兩個不同的Cookie。如果想要兩個域名完全不同的網站共有Cookie，可以生成兩個Cookie，domain屬性分別爲兩個域名，輸出到客戶端。

3、Cookie的路徑

domain屬性決定運行訪問Cookie的域名，而path屬性決定允許訪問Cookie的路徑（ContextPath）。例如，如果只允許/sessionWeb/下的程序使用Cookie，可以這麼寫：

Cookie cookie = new Cookie("time","20080808"); // 新建Cookie
cookie.setPath("/session/"); // 設置路徑
response.addCookie(cookie); // 輸出到客戶端

設置爲“/”時允許所有路徑使用Cookie。path屬性需要使用符號“/”結尾。name相同但domain不同的兩個Cookie也是兩個不同的Cookie。

注意：頁面只能獲取它屬於的Path的Cookie。例如/session/test/a.jsp不能獲取到路徑爲/session/abc/的Cookie。使用時一定要注意。

1. domain表示的是cookie所在的域，默認爲請求的地址，如網址爲www.test.com/test/test.aspx，那麼domain默認爲www.test.com。而跨域訪問，如域A爲t1.test.com，域B爲t2.test.com，那麼在域A生產一個令域A和域B都能訪問的cookie就要將該cookie的domain設置爲.test.com；如果要在域A生產一個令域A不能訪問而域B能訪問的cookie就要將該cookie的domain設置爲t2.test.com。
2. path表示cookie所在的目錄，默認爲/，就是根目錄。在同一個服務器上有目錄如下：/test/,/test/cd/,/test/dd/，現設一個cookie1的path爲/test/，cookie2的path爲/test/cd/，那麼test下的所有頁面都可以訪問到cookie1，而/test/和/test/dd/的子頁面不能訪問cookie2。這是因爲cookie能讓其path路徑下的頁面訪問。
3. 瀏覽器會將domain和path都相同的cookie保存在一個文件裏，cookie間用*隔開。

4、Cookie的安全屬性

HTTP協議不僅是無狀態的，而且是不安全的。使用HTTP協議的數據不經過任何加密就直接在網絡上傳播，有被截獲的可能。使用HTTP協議傳輸很機密的內容是一種隱患。如果不希望Cookie在HTTP等非安全協議中傳輸，可以設置Cookie的secure屬性爲true。瀏覽器只會在HTTPS和SSL等安全協議中傳輸此類Cookie。下面的代碼設置secure屬性爲true：

Cookie cookie = new Cookie("time", "20080808"); // 新建Cookie
cookie.setSecure(true); // 設置安全屬性
response.addCookie(cookie); // 輸出到客戶端

提示：secure屬性並不能對Cookie內容加密，因而不能保證絕對的安全性。如果需要高安全性，需要在程序中對Cookie內容加密、解密，以防泄密。

五、Cookie的修改、刪除

Cookie並不提供修改、刪除操作。如果要修改某個Cookie，只需要新建一個同名的Cookie，添加到response中覆蓋原來的Cookie。如果要刪除某個Cookie，只需要新建一個同名的Cookie，並將maxAge設置爲0，並添加到response中覆蓋原來的Cookie。注意是0而不是負數。負數代表其他的意義。讀者可以通過上例的程序進行驗證，設置不同的屬性。

注意：修改、刪除Cookie時，新建的Cookie除value、maxAge之外的所有屬性，例如name、path、domain等，都要與原Cookie完全一樣。否則，瀏覽器將視爲兩個不同的Cookie不予覆蓋，導致修改、刪除失敗。